网络出口网关 zhengqiuyang/dsh-egress-gate

dsh-egress-gate

为 DeepSeek Harness（dsh）打造的确定性网络出口网关。

内容扫描（dsh-read-guard）管的是什么能进模型；这个插件管的是数据能出到哪。web_fetch / web_search 调用会在 tools/pre-execute 里对照目标允许清单检查，不通过就直接拦下，不让它跑。Shell 命令会扫描其中的抓取动词 URL——默认只观察，要拦截得手动开启，精度如何如实说明。信任路径里零 LLM 调用。

家族：read · write · do · call · leave-behind · egress（数据可以流向哪里）。

为什么是现在（2026-10-12 核查）

赛道空着。五个关键词搜索（network allowlist、egress firewall、url filter、web fetch restrict……）在 GitHub 上什么都搜不到；awesome 列表里也没有管目标地址的条目。邻居们都在别的轴上：内容模式的密钥规则（dsh-defend）、LLM 判定的命令（dsh-jev-guard）、代理配置（官方 network-proxy 文档）。对团队来说，「智能体能访问哪些主机」是第一个合规问题——而这个确定性答案一直没人认领。

策略

- 拒绝永远优先；allow 列表非空就表示「只允许这些主机」（example.com 覆盖 api.example.com；*.example.com 是显式写法）。
- Web 工具全精度拦截——URL 就在参数里。
- Shell：同一命令段里跟在 curl / wget / Invoke-WebRequest / Invoke-RestMethod / fetch / http 后面的 URL。这看不穿脚本、变量或代理——所以默认只警告，只有你开启 shellMode: 'enforce' 才拒绝。

安装

dsh plugin --profile default add github:zhengqiuyang/dsh-egress-gate

预构建的 lib/ 随仓库一起发布——git 安装不需要构建步骤，也不需要 allowBuilds 授权。

配置

- id: dsh-egress-gate
name: dsh-egress-gate
config:
webTools: [web_fetch, web_search]
shellTool: bash # '' disables the shell scan
allow: [docs.deepseek.com, github.com]
deny: [pastebin.example]
shellMode: observe # observe | enforce

开发

npm install && npm test

终止条件

如果 dsh 官方出了目标地址策略，或者代理层插件加上了按主机的规则，这个插件就冻结在最后一个可用版本，并在这里附上复盘。